Ordinanza ingiunzione o revoca n. 472 del 18/06/2026

Acquirente Unico S.p.A. – trattamento illecito dei dati nel Registro Centrale Ufficiale (RCU) e gestione delle richieste di rettifica

Il provvedimento riguarda Acquirente Unico S.p.A., quale gestore del Sistema informativo integrato (SII) e del Registro centrale ufficiale (RCU) del settore energia. Il procedimento trae origine da più istanze e reclami relativi all’attivazione di forniture a nome di persone decedute, a switching ripetuti e alla mancata rettifica di dati personali errati associati a punti di fornitura/riconsegna (POD/PDR).

Origine del procedimento e attività istruttoria

L’Autorità ha inizialmente esaminato reclami relativi a forniture di energia intestate, in periodi successivi al decesso, a soggetti deceduti, nonché un reclamo per la mancata rettifica dei dati di un interessato errati per associazione a un PDR non riferibile allo stesso. Nel corso dell’istruttoria sono state acquisite informazioni da Servizio Elettrico Nazionale S.p.A., da Acquirente Unico S.p.A. e da altri operatori coinvolti; è stato inoltre disposto un accertamento ispettivo presso AU il 1° luglio 2025 e raccolta ulteriore documentazione integrativa.

Successivamente, emersa la necessità di valutare in modo organico il trattamento svolto da AU nel RCU, il procedimento è stato esteso d’ufficio. Sono state riunite varie istanze analoghe, per esaminare in maniera unitaria le criticità emerse in merito alla gestione dei dati personali dei clienti finali.

Il ruolo di Acquirente Unico S.p.A. nel SII e nel RCU

Il Garante ricostruisce il quadro normativo di settore: il RCU è la banca dati nazionale dei dati identificativi dei clienti finali e delle informazioni necessarie al funzionamento dei processi del mercato energetico. La gestione del registro è affidata ad Acquirente Unico S.p.A., che il regolamento di funzionamento del SII qualifica anche come titolare del trattamento per i dati raccolti nel RCU.

Secondo la disciplina richiamata, gli utenti del SII (fornitori e distributori) sono responsabili della correttezza e veridicità dei dati da essi immessi, mentre AU è responsabile della coerenza, dell’aggiornamento e del trattamento complessivo delle informazioni presenti nel RCU. Il provvedimento sottolinea che il gestore tratta un insieme di dati più ampio e articolato rispetto al singolo operatore, poiché il RCU aggrega la “storia energetica” dei clienti finali.

Violazione degli artt. 12, 16 e 28 GDPR

La parte centrale del provvedimento riguarda le modalità con cui AU ha gestito le richieste di rettifica ex art. 16 GDPR. In tutti i casi esaminati, la Società ha risposto dichiarando di non poter intervenire direttamente sul RCU e invitando gli interessati a rivolgersi ai fornitori o ad altri soggetti ritenuti competenti.

Il Garante ha ritenuto tale prassi illecita perché, in qualità di titolare del trattamento, AU avrebbe dovuto attivarsi per verificare le inesattezze e ottenere l’aggiornamento dei dati, anche interfacciandosi con i fornitori coinvolti. Non è sufficiente rinviare l’interessato a un altro soggetto: il titolare deve agevolare l’esercizio dei diritti e attivare un percorso effettivo di rettifica, anche in funzione dell’art. 19 GDPR.

Per due casi in cui AU agiva come responsabile del trattamento ex art. 28 GDPR, il Garante ha inoltre contestato la violazione dell’art. 28, par. 3, lett. a) ed e), poiché AU non ha rispettato le istruzioni del titolare, che imponevano di avvertire prontamente quest’ultimo e collaborare per garantire il pieno esercizio dei diritti degli interessati.

Principio di esattezza e accountability: contestazioni archiviate

L’istruttoria ha evidenziato numerosi dati inesatti nel RCU, tra cui forniture attivate dopo il decesso di persone fisiche e una rilevante presenza di clienti ultracentenari con numerose forniture attive. In astratto, ciò avrebbe integrato una violazione del principio di esattezza ex art. 5, par. 1, lett. d) GDPR e del principio di accountability ex art. 5, par. 2 e art. 24 GDPR.

Tuttavia, a seguito delle interlocuzioni con ARERA, il Garante ha riconosciuto che il quadro regolatorio di settore attribuisce ad AU un ruolo di certificatore tecnico dei dati immessi dagli utenti e non un potere di modifica unilaterale. In tale contesto, l’Autorità ha ritenuto scusabile l’errore della Società e ha accolto, limitatamente a questo profilo, la richiesta di archiviazione, ritenendo non adottabili i provvedimenti sanzionatori/correttivi per le specifiche contestazioni relative a esattezza e accountability.

Resta però ferma, secondo il Garante, l’esigenza di un intervento regolatorio che adegui la disciplina di settore agli obblighi del GDPR, soprattutto in considerazione della dimensione e complessità assunte dal RCU.

Valutazioni del Garante su misure organizzative e collaborazione con ARERA

Il Garante ha valorizzato anche le interlocuzioni con ARERA, che ha condiviso la necessità di un confronto per superare le criticità emerse e ha confermato la natura di “certificatore” di AU per quanto riguarda i controlli tecnici, non la veridicità dei dati. ARERA ha inoltre evidenziato che potrebbe essere utile prevedere una procedura per cui AU, ricevendo una richiesta di rettifica, la inoltri direttamente all’operatore commerciale di riferimento.

La Società ha dichiarato di aver avviato un processo di revisione delle procedure di riscontro, una sessione formativa per il personale e l’intenzione di far svolgere un audit indipendente sull’intera struttura di gestione dei dati. Tali iniziative sono state considerate positivamente ai fini della quantificazione della sanzione.

Durata e ampiezza dell’illecito

Il Garante ha accertato che l’illiceità ha riguardato sette interessati e si è protratta per circa quattro anni, dal 25 maggio 2021 al 20 novembre 2025. Le violazioni hanno inciso su vari casi: forniture intestate a soggetti deceduti, dati associati erroneamente a clienti vivi e rifiuto di rettifica.

Il provvedimento rileva, inoltre, la presenza nel RCU, alla data del 1° agosto 2025, di circa 11.711 clienti ultracentenari con 25.713 forniture attive, dato che evidenzia l’esigenza di ulteriori verifiche di sistema e di un migliore assetto regolatorio.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni degli artt. 12, 16 e 28 GDPR è stata irrogata una sanzione amministrativa pecuniaria di euro 90.000,00. Nel determinare l’importo, il Garante ha applicato i criteri dell’art. 83, par. 1 e 2 GDPR, tenendo conto in particolare di:

• gravità, natura, modalità e durata delle violazioni;
• natura colposa della condotta;
• rilevante responsabilità del titolare nell’organizzazione delle misure;
• assenza di precedenti specifici;
• alcune misure adottate per attenuare gli effetti della violazione;
• cooperazione con l’Autorità;
• iniziative di compliance avviate dalla Società;
• natura giuridica di società in house a totale partecipazione pubblica.

Il provvedimento richiama anche le Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR e qualifica il livello di gravità come medio.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d) GDPR, il Garante ha ingiunto ad AU, entro 9 mesi dalla notifica:

• di procedere, tramite interlocuzione con i fornitori coinvolti, alla rettifica dei dati inesatti relativi ai cinque interessati indicati nel provvedimento, documentando adeguatamente l’erronea attivazione della fornitura a nome di un soggetto deceduto o l’omonimia;
• di adottare una specifica sezione della policy dedicata alla rettifica dei dati nel RCU, con procedure puntuali per le diverse casistiche di istanza ex art. 16 GDPR (ad esempio fornitura non richiesta, fornitura a nome di soggetto deceduto, mancato aggiornamento anagrafico, errore nel POD/PDR), istruzioni per gli incaricati e misure per dare attuazione all’art. 19 GDPR.

La Società dovrà fornire entro lo stesso termine un riscontro documentato ai sensi dell’art. 157 del Codice privacy.

Disposizioni finali e impugnazione

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito istituzionale e l’annotazione nel registro interno delle violazioni. È stata richiamata la facoltà di opposizione avanti all’autorità giudiziaria ordinaria nei termini di legge.